ISO/EIC 17799:2000
9.5.6 Сигнал тревоги для защиты пользователей
Рекомендуется подумать о создании сигнала тревоги для пользователей, которые могут действовать под принуждением. Решение о том, следует ли применять на практике такие сигналы, должно быть основано на результатах оценки рисков. Необходимо определить обязанности и правила реакции на сигнал тревоги, указывающий на действия под принуждением.
9.5.7 Отключение терминалов по тайм-ауту
Неактивные терминалы на территориях с высокой степенью риска (например, терминалы в общедоступных или внешних помещениях, на которые не распространяются реализованные в организации меры по обеспечению безопасности, а также терминалы, подключенные к системам высокой важности) должны отключаться после определенного периода неактивности, чтобы предотвратить несанкционированный доступ к ним. При отключении терминалов по тайм-ауту после определенного периода бездействия экран терминала должен очищаться, а сетевые соединения и сеансы работы с программами должны прекращаться. Длительность тайм-аута должна соответствовать уровню риска на той территории, где находится терминал, и кругу пользователей терминала.
На некоторых персональных компьютерах можно использовать ограниченную форму отключения по тайм-ауту, при которой очищается экран и включается защита от несанкционированного доступа, однако сетевые соединения и сеансы работы с программами не прекращаются.
9.5.8 Ограничение времени соединения
Ограничение на время соединения должно обеспечить дополнительную безопасность для областей деятельности, связанных с высокой степенью риска. Ограничение периода, в течение которого разрешены терминальные подключения к компьютерным сервисам, уменьшает возможность несанкционированного доступа во время подключения. Рекомендуется рассмотреть введение подобной меры для важных компьютерных приложений, особенно в том случае, если используемые для работы с ними терминалы установлены в областях с высоким риском, например, в общедоступных или внешних помещениях, на которые не распространяются реализованные в организации меры по обеспечению безопасности. Вот несколько примеров подобных ограничений:
a)использование заранее заданных промежутков времени, например, для пакетной передачи файлов, или регулярных кратковременных интерактивных сеансов;
b)предоставление соединений только в обычные рабочие часы (в том случае, если сверхурочная работа не выполняется).
9.6 Контроль доступа к приложениям
Цель: Предотвратить несанкционированный доступ к информации, хранящейся в информационных системах. Необходимо ввести меры, ограничивающие доступ к прикладным системам. Логический доступ к программному обеспечению и информации должен предоставляться только авторизованным пользователям. Прикладные системы должны:
a)контролировать доступ пользователей к информации и функциям прикладных программ в соответствии с принятой в организации политикой контроля доступа;
b)обеспечивать защиту от несанкционированного доступа для любых утилит и системных программ, которые способны обходить средства защиты, реализованные в операционной системе и приложениях;
62 |
© ISO/EIC 2000 |
|
© Перевод компании Информзащита 2004 |